顺序与场所决定成败
改密的顺序与操作场所比改密动作本身更重要：从干净终端操作，先改管理入口口令，再改业务账号与 API 凭据，改完复核登录记录，确认没有残留通道仍能用旧凭据登录。
为什么不能在受害主机上改
在疑似被控主机上改密时，键盘记录、内存马与替换过的登录组件都能截获新口令，等于把新口令直接送到攻击者手里。正确顺序是先隔离与清理，再在干净终端上重置。
基本信息
| 第 1 步 | 隔离受害主机后再改密 |
|---|---|
| 第 2 步 | SSH、面板、数据库等管理口令 |
| 第 3 步 | 业务账号与 API 密钥 |
| 第 4 步 | 复核 last 与登录审计无残留会话 |
| 操作终端 | 干净设备或独立旁路终端，不使用受害主机 |
| 覆盖范围 | 系统账号、数据库、面板、API Key、配置文件中的明文凭据 |
典型使用场景
- 主机确认失陷后重置全部可能泄露的凭据
- 代码或配置文件泄露后的凭据轮换
- 离职与外包交接后的凭据回收
- 事件收尾时确认旧凭据已全部失效
- 备份系统与监控账号等易被忽略的凭据同步处理
改密前后快速核查
改密前后快速核查
passwd -S root # 查看口令状态（L 锁定 / P 有口令 / NP 空口令）
last -ai | head -n 10 # 改密后复查登录
pkill -KILL -u ops # 谨慎：终止可疑残留会话（先确认业务影响）
ssh-keygen -lf /root/.ssh/authorized_keys # 同时核对授权公钥是否为已知密钥
grep -rn 'password' /www/wwwroot/*/.env 2>/dev/null | head -n 10 # 排查配置中的明文凭据输出逐列读法
| 输出项 | 含义 | 正常/异常 |
|---|---|---|
| passwd -S 状态位 | 口令状态标记 | 出现 NP 表示空口令账号，属高危 |
| 上次修改日期 | 口令最后变更时间 | 与本次改密时间不符说明并未更新 |
| authorized_keys 指纹 | 授权公钥清单 | 出现未知指纹说明密钥通道仍然存在 |
| last 记录 | 登录历史 | 改密后仍有旧来源登录说明凭据或通道未清干净 |
不要在疑似被控主机上改密：键盘记录与内存马会截获新口令；也不要在同一批改密中复用旧口令的变形（如加数字后缀），字典攻击依旧有效。
凭据重置要覆盖写在配置文件里的凭据：数据库连接串、对象存储密钥、短信与支付接口密钥都属于泄露面，只改登录口令会留下大片缺口。
推荐执行顺序
- 隔离受害主机并完成必要的证据固定
- 从干净终端修改管理入口口令
- 撤销并重建 SSH 密钥与授权列表
- 轮换业务账号、API 密钥与配置中的凭据
- 复核登录记录与审计日志，确认旧凭据失效